DSA-2019-028：Dell Technologies iDRAC 多個漏洞

DSA ID：DSA-2019-028

CVE 識別符：CVE-2019-3705、CVE-2019-3706、CVE-2019-3707

嚴重性：高

嚴重性等級：請參閱下方各個 CVE 的各個 CVSS 分數詳細資料一節。
                         
受影響的產品：
 

• Dell Technologies 2.92 之前的 iDRAC6 版本 （CVE-2019-3705）
• Dell Technologies 2.61.60.60 之前的 iDRAC7/iDRAC8 版本 （CVE-2019-3705）
• 低於 3.30.30.30、3.20.21.20、3.21.24.22、3.21.26.22、3.23.23.23、3.24.24.24、3.22.22.22、3.21.25.22 （CVE-2019-3705、CVE-2019-3706 及 CVE-2019-3707） 的 Dell Technologies iDRAC9 版本。

詳情：  

• 緩衝區溢位漏洞 （CVE-2019-3705）
   

• Web 介面驗證繞過漏洞 （CVE-2019-3706）

• WS-MAN 驗證略過漏洞 （CVE-2019-3707）

下列 Dell Technologies iDRAC 韌體版本包含這些漏洞的解決方案：
 

Dell Technologies 建議所有客戶儘早升級。  

Dell 關於 iDRAC 的最佳實務：

除了維護最新的 iDRAC 韌體，Dell 也會提供下列建議：

• iDRAC 並非設計或打算放置在網際網路上或連線至網際網路;它們應位於單獨的管理網路上。將 iDRAC 放置或直接連線至網際網路，可能會使連線系統面臨安全性和其他風險，Dell 概不負責。   
• 除了將 iDRAC 放置在個別管理子網路上，使用者也應使用防火牆等技術隔離管理子網路/vLAN，並限制只有經過授權的伺服器系統管理員才能存取子網路/vLAN。
• Dell Technologies 建議客戶考慮可能與其環境相關的任何部署因素，以評估其整體風險。

補救措施連結：

客戶可下載 PowerEdge 伺服器的 iDRAC 韌體。若為所有其他平台，請從 Dell 支援網站中選取平台。


Dell Technologies 建議所有使用者都將此資訊的適用性依他們的個別情況來決定，並採取適當措施。本文提及的資訊以「現狀」提供，不提供任何形式的擔保。Dell 不提供任何擔保，包括適售性、特定用途的適用性、權利和非侵權明示或默示的擔保。Dell 或其供應商在任何情況下對於任何形式的損失均不負責，包括直接、間接、附帶性或衍生性損失、損失商業利潤或特殊損失，即使 Dell 或其供應商已被告知此類損失發生的可能性。有些州不允許排除或限制衍生性或附帶性損失的責任，所以前述限制可能不適用。